freeqaz/react2shellToolkit di exploit RCE per CVE-2025-55182 e CVE-2025-66478 in React Server Components. Include più varianti di exploit, script di rilevamento, un server di test vulnerabile e un'analisi tecnica approfondita della vulnerabilità di deserializzazione del protocollo Flight.
CVE-2025-55182 (React) e CVE-2025-66478 (Next.js)
Questo repository contiene codice exploit per test di sicurezza autorizzati e solo a scopo educativo.
Vedi anche: Molti ricercatori hanno pubblicato analisi di questa vulnerabilità. Controlla la sezione Riferimenti per prospettive aggiuntive, tecniche di sfruttamento e metodi di rilevamento.
Mercoledì 3 dicembre 2025, è stata divulgata pubblicamente una vulnerabilità critica di Remote Code Execution in React Server Components. Il bug, soprannominato 'React2Shell', consente a un attaccante non autenticato di eseguire codice arbitrario su qualsiasi server che esegue versioni vulnerabili di React RSC o Next.js App Router inviando una singola richiesta HTTP.
Dato quanto Next.js sia diventato pervasivo - alimenta una porzione significativa del web moderno - l'impatto di questa vulnerabilità è grave. Qualsiasi applicazione Next.js che utilizza App Router (il predefinito per i nuovi progetti da Next.js 13) con RSC abilitato è vulnerabile. Nessuna configurazione speciale. Nessun endpoint specifico. Solo una richiesta POST a qualsiasi route.
La vulnerabilità risiede nel protocollo 'Flight' di React, il formato di serializzazione utilizzato per passare dati tra server e client in React Server Components. Un controllo hasOwnProperty mancante durante la deserializzazione consente la traversata della catena dei prototipi, raggiungendo infine il costruttore di Function di JavaScript per eseguire codice controllato dall'attaccante.
Il difetto esiste nei pacchetti React react-server-dom-webpack, react-server-dom-turbopack e react-server-dom-parcel. Next.js, come consumatore dominante di RSC, eredita la vulnerabilità attraverso il suo App Router.
Molti servizi sono potenzialmente vulnerabili. Next.js è uno dei framework React più popolari, utilizzato da aziende di tutte le dimensioni - dalle startup alle grandi imprese. App Router con React Server Components è l'architettura predefinita per i nuovi progetti Next.js dalla versione 13, il che significa che la maggior parte delle distribuzioni moderne di Next.js è interessata.
Qualsiasi applicazione che utilizza:
react-server-dom-* vulnerabili (19.0.0 - 19.2.0)Ciò include distribuzioni in produzione su Vercel, AWS, infrastrutture self-hosted e ovunque siano eseguite applicazioni Next.js App Router.
Non interessati:
process.mainModule disponibile)| Pacchetto | Vulnerabile | Corretto |
|---|---|---|
react-server-dom-webpack | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1+ |
react-server-dom-turbopack | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1+ |
react-server-dom-parcel | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1+ |
| Linea di versione | Vulnerabile | Corretto |
|---|---|---|
| 15.0.x | < 15.0.5 | 15.0.5+ |
| 15.1.x | < 15.1.9 | 15.1.9+ |
| 15.2.x | < 15.2.6 | 15.2.6+ |
| 15.3.x | < 15.3.6 | 15.3.6+ |
| 15.4.x | < 15.4.8 | 15.4.8+ |
| 15.5.x | < 15.5.7 | 15.5.7+ |
| 16.0.x | < 16.0.7 | 16.0.7+ |
Aggiorna immediatamente. Non ci sono soluzioni alternative.
Per applicazioni Next.js:
npm install next@latest
# or
pnpm update next
Per uso diretto di React RSC:
npm install react-server-dom-webpack@latest
Verifica le tue versioni installate:
npm ls next react-server-dom-webpack react-server-dom-turbopack
Sono stati scoperti molteplici vettori d'attacco per questa vulnerabilità. Il più comune - e quello che funziona senza prerequisiti - utilizza il prototype pollution attraverso il sistema di riferimento del protocollo Flight di React.
L'exploit invia una richiesta POST multipart costruita ad arte con un header Next-Action. Il payload abusa del sistema di riferimento per:
$1:__proto__:thenFunction di JavaScriptPOST / HTTP/1.1
Host: target.com
Content-Type: multipart/form-data; boundary=----Boundary
Next-Action: x
------Boundary
Content-Disposition: form-data; name="0"
{"then":"$1:__proto__:then","status":"resolved_model","value":"{...}","_response":{...}}
------Boundary
Content-Disposition: form-data; name="1"
"$@0"
------Boundary--
Il codice viene eseguito durante la deserializzazione, prima che avvenga qualsiasi validazione dell'ID azione. Ciò significa che qualsiasi valore dell'header Next-Action attiva il percorso di codice vulnerabile - nessun ID azione valido è richiesto.
Altri vettori d'attacco esistono, inclusi i riferimenti a funzioni
$Fe gadget di moduli diretti. Questi tipicamente richiedono un ID azione valido. Vedi Vettori d'attacco alternativi per dettagli.
Il protocollo Flight di React risolve riferimenti come $1:path:to:value dividendo sui due punti e attraversando l'oggetto:
// ReactFlightReplyServer.js - getOutlinedModel()
for (let i = 1; i < path.length; i++) {
value = value[path[i]]; // No hasOwnProperty check!
}
L'ironia: All'inizio di questo stesso file, riga 35:
import hasOwnProperty from 'shared/hasOwnProperty';La guardia era stata importata. Era disponibile. Semplicemente non è stata usata nel ciclo in cui contava di più.
Questa singola verifica mancante consente a $1:__proto__:then di attraversare da un oggetto chunk, lungo la catena dei prototipi, fino a Chunk.prototype.then - una funzione che elabora oggetti simili a Promise. Creando un falso chunk con le proprietà giuste, controlliamo quale codice viene eseguito.
Clona il server di test vulnerabile:
git clone https://github.com/freeqaz/react2shell
cd react2shell/vulnerable-next-server
pnpm install
pnpm dev
In un altro terminale:
./detect.sh http://localhost:3443
Un server vulnerabile restituisce HTTP 500 con E{"digest" nel corpo della risposta. Per dimostrare RCE:
./exploit-redirect.sh http://localhost:3443 "id"
L'output del comando appare nella risposta. Per esplorazione interattiva:
./shell.sh http://localhost:3443
La directory vulnerable-next-server/ contiene un'applicazione Next.js 16.0.6 + React 19.2.0 preconfigurata per test locali sicuri. Viene eseguita sulla porta 3443 per impostazione predefinita. Questa è una configurazione minima di App Router che dimostra che le configurazioni predefinite sono vulnerabili.
Abbiamo sviluppato molteplici varianti di exploit per gestire diversi scenari: